Landstingsstyrelsen och den interna kontrollen en inledande belysning

Revisorerna Anders Marmon 2005-02-24 Rev/04078 Landstingsstyrelsen och den interna kontrollen en inledande belysning Rapport 2-05

Sammanfattning Landstingets revisorer har att genomföra årlig granskning av landstingets samtliga verksamheter. Som ett led i detta har revisorerna låtit genomföra en granskning av hur landstingsstyrelsen arbetar med frågor kring intern kontroll. I granskningen har följande övergripande iakttagelser gjorts. I landstingsstyrelsens reglemente fastslås att landstingsstyrelsen svarar för den interna kontrollen. Det finns dock ingen precisering av hur detta ansvar operativt skall utövas, i form av intern kontrollplan eller andra tillämpningsanvisningar. Det kan konstateras att under den granskade perioden har begreppet intern kontroll inte använts som rubrik i landstingsstyrelsens protokoll. Styrelsen utövar den interna kontrollen genom att utfärda riktlinjer, reglementen och anvisningar. Det förekommer dock ingen protokollförd uppföljning eller utvärdering av efterlevnad och implementering av riktlinjerna. Intern kontroll finns heller inte belyst i landstingets årsredovisning eller i de två tertialrapporter som framställs under verksamhetsåret. Landstingets revisorer har i ett antal granskningar och vid besök i landstingets olika verksamheter, kunnat konstatera att många verksamheter bedriver ett ambitiöst arbete kring intern kontroll. Detta arbete återrapporteras dock inte dokumenterat till landstingsstyrelsen. Landstingets revisorer har i sitt dokument Väsentlighet & risk starkt betonat vikten av en god intern kontroll. En god intern kontroll är en förutsättning för effektiv ledning och styrning samt för möjligheterna till ansvarstagande. I det tillsynsansvar som landstingsstyrelsen har, ingår att arbeta fram system och rutiner för att säkerställa en god intern kontroll inom landstingets verksamheter. För att landstingstyrelsen skall fullgöra sitt tillsynsansvar enligt det av fullmäktige fastställda reglementet, bör styrelsen upprätta en intern kontrollplan. Styrelsen har ett ansvar för att utvärdera det samlade kontrollsystemet och att återföra resultatet av utvärderingen till verksamheten. Resultatet av utvärderingen bör också dokumenteras i årsredovisningen.. 1

1 Inledning 1.1 Bakgrund Landstingets revisorer har att genomföra årlig granskning av landstingets samtliga verksamheter. Som ett led i detta har revisorerna beslutat att låta genomföra en granskning av landstingsstyrelsen arbetar med frågor kring intern kontroll. Landstingets revisorer har i sitt dokument Väsentlighet & risk starkt betonat vikten av en god intern kontroll. En god intern kontroll är en förutsättning för effektiv ledning och styrning samt för möjligheterna till ansvarstagande. I det tillsynsansvar som landstingsstyrelsen har, ingår att arbeta fram system och rutiner för att säkerställa en god intern kontroll inom landstingets verksamheter. I samband med strukturomvandlingen inom hälso- och sjukvården gjordes också förändringar i landstingets förtroendemannaorganisation. Enligt beslut i landstingsfullmäktige under 2002, togs i princip nämndnivån bort från och med den mandatperiod som börjar den 1 januari 2003. I och med detta ligger det övergripande tillsynsansvaret allt tydligare på landstingsstyrelsen. I december 2002 tog fullmäktige beslut om nytt reglemente för landstingsstyrelsen, där detta ansvar också tydliggjort i ett antal punkter. Landstingets revisorer har i sitt dokument Väsentlighet och risk konstaterat, att den organisatoriska förändringen gör att revisorernas granskningsuppdrag i mycket hög grad koncentreras på landstingsstyrelsens arbete. Under 2005 kommer revisorernas granskningar i hög grad fokusera på olika frågor kring intern kontroll, och föreliggande rapport skall ses som ett inledande steg i detta arbete. Vissa av syftena i denna granskning, kan också, för att belysas mera fullständigt, kräva fortsatt arbete i form av enkäter och intervjuer med verksamhetsföreträdare och ledamöter i landstingsstyrelsen. Se bilaga 1 1.2 Syfte Landstingets revisorer har också i sin skrivelse vissa iakttagelser i samband med granskning av 2003 års bokslut som tillställdes landstingsstyrelsen efter avslutad granskning av verksamhetsåret, påpekat betydelsen av en god intern kontroll. I skrivelsen lyfter revisorerna även fram exempel på områden där den interna kontrollen bör förbättras. Detta, tillsammans med ovan nämnda bakgrund, har lett att följande syften formulerats för granskningen: klargöra vilken ansats landstingsstyrelsen har i arbetet med intern kontroll studera vilka direktiv/riktlinjer landstingsstyrelsen utfärdat avseende intern kontroll studera hur dessa direktiv/riktlinjer har kommunicerats med verksamheterna bedöma vilken medvetenhet som finns om ansvaret för den interna kontrollen 2

klargöra var ansvaret ligger för att uppdatera direktiv/riktlinjer klargöra om någon dokumenterad uppföljning finns av efterlevnaden av riktlinjerna och hur dessa kvalitetsgranskas studera på vilket sätt landstingsstyrelsen får information som underlag för sitt ansvar för den interna kontrollen bedöma i vilken utsträckning landstingsstyrelsen kan sägas ha en god intern kontroll. 1.3 Metod och underlag Granskningen har i huvudsak bestått av, att från protokoll och andra dokument kring landstingsstyrelsens arbete under 2004, samla in information som belyser landstingsstyrelsens roll när det gäller att säkerställa landstingets interna kontroll. Vidare har underlag i form av ekonomiska rapporter, landstingsstyrelsens reglemente och kommunallagen, legat till grund för granskningen. Under granskningen har också rapporter kring intern kontroll från andra landsting, bland annat landstinget Jönköpings län, tagits in som referensmaterial. Uppgifter om COSO-modellen för intern kontroll har hämtats ur skriften Intern kontroll - ett flerdimensionellt ledningsverktyg, framtagen av KOMREV/Öhrlings. Efter genomgång av material har det fortsatta arbetet bestått av att sammanställa och analysera det samlade underlaget för granskningen. Som berördes inledningsvis, kan efter den inledande sammanställningen av material, intervjuer/enkäter komma att genomföras med ledamöter i landstingsstyrelsen och tjänstemän. 2 Begreppet intern kontroll Intern kontroll är en process där såväl den politiska ledningen som tjänstemannaledning och samtlig personal samverkar. Begreppet intern kontroll spänner över ett stort område och kan beskrivas som organisatoriska rutiner och system som syftar till att: - trygga landstingets tillgångar och förhindra förluster - säkerställa att lagar, bestämmelser och överenskommelser efterlevs - minimera risker, säkra system och rutiner - säkra att resurser används i enlighet med tagna beslut - säkra en rättvisande redovisning - skydda förtroendevalda och personal från oberättigade misstankar Frågor kring intern kontroll har kommit alltmer i fokus, även internationellt, både inom privat och offentlig verksamhet. Det har tagits fram en bred definition av begreppet intern kontroll från den så kallade COSO-kommittén i USA. Betydelsen av intern kontroll är stor inom alla områden av landstingets verksamhet, inte bara ekonomi och redovisning. Ansvaret för den interna kontrollen vilar ytterst på landstingsstyrelsen, och tillämpat på landstinget skulle COSO-definitionen av intern kontroll bli följande: 3

Intern kontroll är en process genom vilken landstingsstyrelsen skaffar sig rimlig säkerhet för att landstingets mål uppnås på följande områden: - verksamhetens ändamålsenlighet och effektivitet - den ekonomiska rapporteringens tillförlitlighet - efterlevnaden av tillämpliga lagar och förordningar. COSO-definitionen delar också in den interna kontrollen i fem delar, kallade kontrollkomponenter: 1. Kontrollmiljö 2. Riskbedömning 3. Information och kommunikation 4. Kontrollåtgärder 5. Övervakning och uppföljning Kontrollmiljön skapar de grundläggande förutsättningarna för den interna kontrollen. Kontrollmiljön skapas av aktörerna i organisationen och hur dessa samverkar, och vilket klimat som finns i organisationen. Tillåter klimatet en öppen dialog om olika problem? Viktigt för kontrollmiljön är naturligtvis också de regler och policies som finns. Kontrollmiljön påverkas också starkt av de signaler ledningen ger; hur denna agerar i olika situationer, exempelvis om regler och instruktioner inte följs. Riskbedömningen går ut på att identifiera och bedöma de risker eller hot som organisationen ställs inför. Kontrollprocesserna ska prioritera områden där högre risk finns för att det ska bli fel. Det är också viktigt att riskbedömningen präglas av mångsidighet, för att föregripa eventuella risker innan de inträffar. COSO-modellen delar in risker vad gäller intern kontroll i två huvudgrupper: -Externa; med undergrupperna omvärlds-, finansiella-, legala-, och IT-baserade risker. -Interna ; med undergrupperna verksamhets-, redovisnings- och IT-baserade risker Kontrollåtgärder är de konkreta åtgärder som vidtas för att motverka, minimera eller helst eliminera de risker som finns. Det kan också röra sig om att säkerställa beredskap för att kunna hantera eller reagera på situationer som uppstår till följd av att olika händelser inträffar. Kontrollaktiviteterna kan grupperas på flera sätt; vara preventiva eller utgöras av efterhandskontroller, vara resultat- eller rutinorienterade. Information och kommunikation som fungerar på ett bra sätt, mellan aktörer och olika organisatoriska nivåer, är en viktig förutsättning för en effektiv intern kontroll. Ledningen på olika nivåer måste säkerställa att den information som krävs för att styra, följa upp rapportera verksamheten erhålls. Av denna anledning är effektiva och ändamålsenliga rapport- och uppföljningssystem vitala. Övervakning och uppföljning tillsyn. Syftet med tillsyn är att kontinuerligt utvärdera kontrollsystemet för att säkerställa att detta fungerar på avsett sätt. Ett aktivt arbete i form av tillsyn över processerna för intern kontroll leder till en kontinuerlig kvalitetssäkring av verksamhetens väsentliga rutiner och processer. 4

2.1 Arbetet med intern kontroll inom landstinget i Värmland. Enligt tidigare nämnda strukturbeslut i fullmäktige genomfördes ett stort antal förändringar för att styra verksamheten mot de uppsatta ekonomiska målen. Förändringarna rörde både verksamhetsprocesser och struktur, och har lett till stora förändringar i landstingets organisation. Stora förändringar kan i sig vara en riskhöjande faktor, till exempel genom att anpassningar av organisation, rutiner och system inte hunnit genomföras fullt ut. Detta kan skapa oklarheter i ansvarsförhållanden och leda till brister i den interna kontrollen. Det är därför av stor vikt att det efter en omorganisation sker en uppdatering av organisations- och arbetsbeskrivningar, så dessa stämmer med verkligheten. Hur arbetar då landstinget i Värmland med de olika områdena som ingår i intern kontroll; vilka verktyg används? 2.2 Landstingsstyrelsens reglemente I det reglemente för landstingsstyrelsen som togs av fullmäktige i december 2002, finns ett antal punkter som särskilt fastslår styrelsens ansvar för den interna kontrollen: det ankommer styrelsen särskilt att: - leda och samordna förvaltningen av landstingets angelägenheter och uppsikt över den verksamhet som bedrivs. - ansvara för att uppföljning och utvärdering genomförs - ansvara för ansvara för den interna kontrollen. Landstingsstyrelsen har under 2004 taget ett antal beslut som i olika hög grad kan sägas ha koppling till intern kontroll. (se bilaga 2) Besluten meddelas berörda enheter genom att protokollsutdrag skickas. Ärenden som kan beskrivas som återrapportering till styrelsen av frågor kring intern kontroll, är endast de fall där den interna kontrollen starkt ifrågasatts genom en speciell händelse; exempelvis anställningsrutinerna vid sjukhuset i Torsby. 2.3 Riktlinjer och direktiv. På landstingets intranätsida finns ett antal olika riktlinjer, som i varierande grad kan sägas ha koppling till intern kontroll ( se bilaga 3 ) Alla riktlinjerna har i någon mening betydelse för den interna kontrollen, de är avsedda att vägleda landstingets personal i sitt sätt att arbeta. På landstingets intranätsida finns också ett antal handböcker, bland annat landstingets ekonomihandbok. Under kapitlet regler i denna handbok finns begreppet intern kontroll definierat enligt följande: Kännetecken för en god intern kontroll är en väl genomtänkt ansvars- och befogenhetsfördelning som tar hänsyn till verksamhet, organisation och personalkompetens. Inom landstinget skall en kombination av olika dokument syfta till att upprätthålla den interna kontrollen. Sådana dokument är bland annat: 5

- delegationsordning - beskrivning av ansvarsfördelning per nämnd - attest- och utanordningsreglemente Med intern kontroll menas alla de rutiner som syftar till att: - främja landstingets effektivitet, så att resurserna används i enlighet med fattade beslut - trygga tillgångarna och förhindra att landstingets drabbas av extra kostnader på grund av avsiktliga eller oavsiktliga fel - säkerställa en rättvisande redovisning - säkerställa att bestämmelser och överenskommelser efterlevs Beskrivningen av ansvarfördelning per nämnd ger vid handen att dokumentet inte uppdaterats eftersom nämndnivån i huvudsak tagits bort inom landstinget från och med år 2003. Dokumenten kring delegationsordning, arbetsordning och reglemente finns också att hämta på intranätsidan, under rubriken ledning. 3 Slutsatser och kommentarer Utifrån de syften som formulerades inför granskningen, har följande iakttagelser gjorts: klargöra vilken ansats landstingsstyrelsen har i arbetet med intern kontroll Landstingsstyrelsen ansats vad avser intern kontroll är fungera som sändare av information, genom att utfärda riktlinjer och anvisningar inom olika områden. studera vilka direktiv/riktlinjer landstingsstyrelsen utfärdat avseende intern kontroll Landstingsstyrelsen har under 2004 antagit ett antal riktlinjer, och också reviderat andra, tidigare fastställda, dokument såsom delegationsordning och attestreglementen. studera hur dessa direktiv/riktlinjer har kommunicerats med verksamheterna De under 2004 beslutade riktlinjerna och revideringarna av tidigare tagna beslut kommuniceras genom protokollslutdrag till berörda enheter. bedöma vilken medvetenhet som finns om ansvaret för den interna kontrollen Frågeställningen bör belysas genom enkät/intervju. klargöra var ansvaret ligger för att uppdatera direktiv/riktlinjer Enligt det av fullmäktige fastställda reglemente för landstingsstyrelsen ligger ansvaret för den interna kontrollen på landstingsstyrelsen. klargöra om någon dokumenterad uppföljning finns av efterlevnaden av riktlinjerna och hur dessa kvalitetsgranskas Det går ej att finna dokumenterad uppföljning eller utvärdering av efterlevnaden av riktlinjer och anvisningar 6

studera på vilket sätt landstingsstyrelsen får information som underlag för sitt ansvar för den interna kontrollen. Frågeställningen bör belysas genom enkät/intervju. bedöma i vilken utsträckning landstingsstyrelsen kan sägas ha en god intern kontroll. Revisorerna bedömer att landstingsstyrelsen bör utveckla sitt arbete kring intern kontroll, när det gäller att dokumentation, utvärdering och uppföljning. Reglementets konstaterande av styrelse ansvar för den interna kontrollen bör kompletteras med tillämpningsanvisningar eller internkontrollplan i någon form. Anders Marmon, Certifierad kommunal revisor 7

Bilaga 1 Exempel på frågeställningar som bör belysas genom enkät eller intervjuer, och i kommande granskningar med inriktning på intern kontroll. Granskning utifrån landstingsstyrelsens arbete Hur har man fört ut direktiv och riktlinjer ut till länsverksamheterna? Har styrelsen utsett person med speciellt ansvar för den interna kontrollen? Vilken återrapportering får man in? Vilken återrapportering borde man få/kräva in? Granskning utifrån en länsverksamhets arbete; Hur har man fått del av och implementerat styrelsens direktiv/riktlinjer? Har man några krav på sig att återrapportera till styrelsen? Granskning utifrån ett utvalt system/rutin; Att exempelvis regelverken för upphandling följs, Att delegationsordningen efterlevs, Att verksamhetsuppföljning sker enligt anvisningar och kravspecifikation. 8